1. Verantwortlicher
Boris Baumann
Hamre 150
453 91 Lysekil
Schweden
E-Mail: help@onoa.me
2. Überblick der Verarbeitungen
Wir verarbeiten personenbezogene Daten, um unser digitales Selbsterkenntnis-Tool „onoa" bereitzustellen. Diese Datenschutzerklärung informiert dich darüber, welche Daten wir erheben, wozu wir sie verwenden und welche Rechte du hast.
3. Rechtsgrundlagen
Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen:
- Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung des onoa-Dienstes, Porträt-Generierung, Chat-Funktion, Kontoverwaltung, Zahlungsabwicklung.
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Verarbeitung von Geburtsdaten zur Analyse und Porträt-Generierung, Übermittlung von Gesprächsinhalten an die Claude API.
- Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Sicherstellung des Betriebs, Missbrauchsschutz, technische Logs.
- Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungsdaten.
4. Welche Daten wir erheben
4.1 Kontodaten
Bei der Erstellung deines Kontos erheben wir: Name, E-Mail-Adresse, Telefonnummer. Die Authentifizierung erfolgt per SMS-Code (OTP). Die Telefonnummer wird ausschließlich für die Authentifizierung und für funktionale SMS (Inaktivitätswarnung vor Kontolöschung) verwendet – keine Marketing- oder Werbe-SMS.
4.2 Geburtsdaten
Für die Porträt-Generierung erheben wir: Geburtsdatum, Geburtsort (wird in Geokoordinaten umgewandelt), Geburtszeit (optional). Diese Daten bilden die Grundlage der Porträt-Analyse. Sie werden ausschließlich für diesen Zweck verwendet.
4.3 Gesprächsdaten
Alle Inhalte, die du im Chat oder im Journal-Modus eingibst, werden gespeichert. Diese Daten dienen der Bereitstellung des Gesprächs, der Porträt-Verfeinerung und dem Aufbau deines Lernkontexts.
4.4 Zahlungsdaten
Die Zahlungsabwicklung erfolgt über Stripe. Wir selbst speichern keine Kreditkarten- oder Bankdaten. Wir speichern lediglich eine Stripe-Kunden-ID und den Abo-Status.
4.5 Technische Daten
Beim Zugriff auf onoa werden automatisch erfasst: IP-Adresse, Browsertyp und -version, Betriebssystem, Datum und Uhrzeit des Zugriffs, Referrer-URL. Diese Daten werden für den technischen Betrieb und die Sicherheit der Anwendung verarbeitet und nach 30 Tagen gelöscht.
5. KI-Verarbeitung (Claude API)
onoa nutzt die Claude API von Anthropic (Anthropic, PBC, San Francisco, USA) zur Generierung von Porträts und für die Chat-Funktion.
Dabei werden folgende Daten an Anthropic übermittelt: Gesprächsinhalte (Chat-Nachrichten, Journal-Einträge), aufbereitete Chart-Daten (keine Rohdaten der Geburtsdaten), System-Prompts (enthalten keine personenbezogenen Daten).
Anthropic speichert bei Nutzung der API mit aktiviertem Opt-out keine Eingabedaten über die Verarbeitungsdauer hinaus. Die Daten werden nicht zum Training von KI-Modellen verwendet. Es besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) mit Anthropic.
Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und dem EU-US Data Privacy Framework.
Du kannst onoa nicht ohne die KI-Verarbeitung nutzen, da sie Kernbestandteil des Dienstes ist. Mit der Nutzung von onoa willigst du in diese Verarbeitung ein.
6. Hosting und Infrastruktur
6.1 Vercel (Frontend und API)
Unser Frontend und die API-Routen werden von Vercel Inc. gehostet. Server-Region: Frankfurt (eu-central-1). Vercel verarbeitet technische Zugriffsdaten (IP-Adressen, Request-Logs). Auftragsverarbeitungsvertrag liegt vor.
6.2 Supabase (Datenbank und Authentifizierung)
Alle persistenten Daten (Kontodaten, Porträts, Gespräche, Journal-Einträge) werden in einer PostgreSQL-Datenbank bei Supabase gespeichert. Serverstandort: Frankfurt (eu-central-1). Die Authentifizierung (SMS-Code) wird ebenfalls über Supabase abgewickelt. Auftragsverarbeitungsvertrag liegt vor.
6.3 Railway (Analyse-Service)
Die Berechnung der Analysedaten erfolgt auf einem isolierten Service bei Railway (Railway Corporation, San Francisco, USA). Serverstandort: Frankfurt (EU). Dieser Service empfängt Geburtsdaten, berechnet daraus Analysedaten und gibt diese als JSON zurück. Es werden keine Daten persistent auf diesem Service gespeichert. Auftragsverarbeitungsvertrag liegt vor.
7. Zahlungsabwicklung (Stripe)
Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. (Dublin, Irland). Stripe verarbeitet deine Zahlungsdaten (Kreditkartendaten, Bankverbindung) direkt. Wir erhalten von Stripe nur eine Kunden-ID, Transaktionsstatus und Rechnungsinformationen. Datenschutzerklärung von Stripe: https://stripe.com/de/privacy
8. SMS-Versand
Für die Authentifizierung (SMS-Code) und die Inaktivitätswarnung vor Kontolöschung wird deine Telefonnummer an einen SMS-Dienstleister übermittelt. Der SMS-Versand erfolgt ausschließlich für funktionale Zwecke – keine Marketing- oder Werbe-SMS. Auftragsverarbeitungsvertrag liegt vor.
9. Cookies und Tracking
onoa verwendet ausschließlich technisch notwendige Cookies für die Authentifizierung und Sitzungsverwaltung. Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein. Es findet kein Tracking durch Drittanbieter statt.
10. Speicherdauer und Löschung
Kontodaten, Porträts und Gesprächsdaten werden so lange gespeichert, wie dein Konto besteht. Bei Inaktivität gelten folgende Fristen:
- Nutzer ohne Abonnement: Kontolöschung nach 6 Monaten Inaktivität.
- Ehemalige Abonnenten: Kontolöschung nach 24 Monaten Inaktivität.
Du wirst 7 Tage vor der Löschung per SMS informiert. Ein Login reicht aus, um die Frist zurückzusetzen. Aktive Abonnenten sind von der automatischen Löschung ausgenommen.
Rechnungsdaten werden gemäß den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) für 10 Jahre aufbewahrt.
Bei Löschung deines Kontos werden alle personenbezogenen Daten unwiderruflich gelöscht, mit Ausnahme der gesetzlich aufzubewahrenden Rechnungsdaten.
11. Deine Rechte
Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:
- Auskunft (Art. 15 DSGVO): Du kannst Auskunft über die von uns verarbeiteten Daten verlangen.
- Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.
- Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung verlangen.
- Datenübertragbarkeit (Art. 20 DSGVO): Du kannst die Herausgabe deiner Daten in einem strukturierten, gängigen Format verlangen.
- Widerspruch (Art. 21 DSGVO): Du kannst der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
- Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Du kannst eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Zur Ausübung deiner Rechte wende dich an: help@onoa.me
12. Beschwerderecht
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem du wohnst, oder in dem der Verantwortliche seinen Sitz hat.
13. Drittporträts
Wenn du ein Porträt für eine andere Person erstellst, gibst du deren Geburtsdaten (Geburtsdatum, Geburtsort, Geburtszeit) ein. onoa verarbeitet diese Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung mit dir als Konto-Inhaber) ausschließlich zur Erstellung des Porträts unter deinem Konto. Die betreffende Person erhält keinen Zugang zu dem Porträt und wird von onoa nicht kontaktiert.
Deine Verantwortung: Du bist dafür verantwortlich, dass du die Einwilligung der betreffenden Person für die Eingabe ihrer Daten hast oder eine andere Rechtsgrundlage vorliegt.
Informationspflicht (Art. 14 DSGVO): Da die Daten der betreffenden Person nicht direkt von ihr, sondern von dir erhoben werden, bist du als eingebende Person verpflichtet, die betreffende Person über die Verarbeitung zu informieren – zum Beispiel indem du ihr das erstellte Porträt zeigst oder sie anderweitig in Kenntnis setzt. onoa kommt der Informationspflicht nach Art. 14 DSGVO durch diese Datenschutzerklärung nach, soweit die Information nicht einen unverhältnismäßigen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b DSGVO).
Rechte der betroffenen Person: Die Person, deren Daten eingegeben wurden, hat dieselben Rechte wie in Sektion 11 beschrieben (Auskunft, Berichtigung, Löschung etc.). Sie kann diese unter help@onoa.me geltend machen.
14. Minderjährige
Die Erstellung eines eigenen onoa-Kontos ist Personen ab 16 Jahren vorbehalten (Art. 8 DSGVO). Für Kinder unter 16 Jahren ist die Kontoerstellung nicht möglich.
Erziehungsberechtigte können über ihr eigenes Konto ein Drittporträt für ihr minderjähriges Kind erstellen (siehe § 6 der AGB). In diesem Fall liegt die Verantwortung für die Einwilligung in die Datenverarbeitung bei den Erziehungsberechtigten. Die Geburtsdaten des Kindes werden ausschließlich zur Porträt-Generierung verarbeitet und unter dem Konto des Erziehungsberechtigten gespeichert. Das Kind erhält keinen eigenen Zugang.
15. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die jeweils aktuelle Version ist in der App abrufbar.